1/ Introduction. 2/ Schéma du réseau

Transcription

1 1/ Introduction FWBuilder est un logiciel-libre multi-plateforme qui permet de créer ses propres pare-feux et les utiliser sur différents SE ou sur du matériel informatique. Objectif : Créer un pare-feu qui sera éxécuté pour ne laisser passer que certains protocoles et que le serveur WEB soit accessible depuis l'extérieur. Matériel : - 1 machine sous Linux pour créer/configurer/exécuter le pare-feu. - 1 machine sous Windows pour héberger le serveur WEB. - 1 machine sous Windows qui se trouve à l'intérieur du réseau pour tester le pare-feu. - 1 machine sous Windows qui se trouve à l'extérieur du réseau pour accéder au serveur WEB. 2/ Schéma du réseau La carte eth1 configurer en correspond à la passerelle du réseau interne(local). La carte eth0 configurer en correspond au réseau externe (internet).

2 3/ Configurations matériels/logiciels - Machine Virtuelle (Linux Ubuntu 9.10) : Cette machine fera office de passerelle/routeur et hébergera notre parefeu. On change temporairement les adresses IP de eth1 et eth2 : ifconfig eth ifconfig eth On change temporairement la passerelle par défaut : route add -net default gw On effectue une série de test pour vérifier le bon fonctionnement des modifications : ping ping ping google.fr Si le ping vers google.fr ne fonctionne pas, il faut éditer le fichier resolv.conf pour remettre le DNS Dans un terminal : nano /etc/resolv.conf Puis dans le fichier rentrer : nameserver Serveur WEB/Nessus (Windows XP) : Cette machine nous servira de serveur WEB et hébergera Nessus. WAMP (Windows,Apache,MySQL,PHP) qui permet de créer un serveur WEB simplement. Nessus est un outil de sécurité informatique.nessus scannera le parefeu exécuté sur la machine sous Linux Ubuntu en detectant les différents ports ouverts ainsi que les différents protocoles compromettant. Nessus est un logiciel de type client/serveur. Tenable Network Security Configurer la carte réseau de cette façon : Adresse IP : Masque : Passerelle : DNS :

3 Puis effectuer les tests suivant : ping ping google.fr Pour démarrer le serveur Web, lancer "WampServer" puis vérifier son bon fonctionnement comme ci-dessous. - Machine interne (Windows XP) : Cette machine permettra de vérifier le bon fonctionnement de notre pare-feu. Configurer la carte réseau de cette façon : Adresse IP : Masque : Passerelle : DNS : Puis effectuer les tests suivant : ping ping google.fr

4 - Machine externe (Windows XP) : Cette machine se trouvera sur le réseau externe (internet) et permettra de vérifier l'accès au serveur WEB. Configurer la carte réseau de cette façon : Adresse IP : Masque : Passerelle : DNS : Puis effectuer les tests suivant : ping ping google.fr 4/ Création/Configuration/Compilation du pare-feu - Lancer FirewallBuilder : Dans un terminal. fwbuilder Créer une nouveau firewall en iptables pour Linux 2.4/2.6 - Configurer le pare-feu : 1) Il faut configurer deux interfaces réseaux. Qui sont liées à eth0 et eth1. La carte étant dans le réseau externe (eth0) doit être configurer en externe dans fwbuilder. 2) Deux objets qui sont la passerelle BTS et le serveur WEB.

5 3) Configurer les règles d'accès (http,dns,ftp...). 4) Configurer le nat.(permet de faire communiquer un réseau local avec internet.) 5) Configurer le routage.(permet de faire transiter des informations sur un réseau vers un autre.) 6) Compiler le firewall.

6 - Lancer le firewall : Dans un terminal. sudo bash Aller jusqu'au répertoire ou se trouve le fichier en.fw Changer les droits du fichier pour pouvoir l'exécuter : chmod 777 le_nom_du_fichier.fw Puis le lancer :./le_nom_du_fichier.fw 5/ Test de connexion interne/externe Pour éffectuer les différents tests de connexions, nous allons utiliser la machine interne pour les connexions sortante et la machine externe pour les connexions entrante. Dans notre cas, les protocoles ICMP, FTP, HTTP et DNS sont autorisés. 1) Connexions sortante : - ICMP : Internet Control Message Protocol, permet d'envoyer un message vers un hôte, si celuici répond il est joignable. Dans un invite de commandes, utiliser la commande ping nom_du_site

7 - FTP : File Transfert Protocole, permet d'envoyer des fichiers vers un serveur hôte. Se connecter à : ftp://cdimage.ubuntu.com/ - HTTP : HyperText Transfer Protocol, permet d'afficher des fichier HTML héberger sur un serveur hôte. Se connecter à : DNS Le DNS permet d'associer une adresse IP ( ) à un nom de domaine (google.fr). Pour retrouver l'adresse IP d'un nom de domaine, le module "WorldIP" a été installé sur Mozilla Firefox. 1) Connexions entrante : Avec la machine externe, rentrer l'adresse IP : et la page ci-dessous devrait s'afficher.

8 6/ Test du pare-feu avec Nessus Nessus permet de tester tous les protocoles ainsi que les ports ouverts en lui donnant une IP.Nous allons effectuer les différents tests depuis l'intérieur du réseau.nous allons donc utiliser la machine qui nous sert de serveur Web. Vérifier la configuration de la carte réseau. Adresse IP : Masque : Passerelle : DNS : ) Lancer Nessus Server Manager puis cliquer sur "Start Nessus Server". 2) Lancer "Nessus Client", les identifiants de connexions sont root (username et password) 3) Aller dans l'onglet "Policies" puis cliquer sur "Add". 4) Dans le champ "name" saisir le nom de votre police. 5) Dans l'onglet "plugins", cliquer sur "Enable all" puis sur "Next" et enfin sur "Submit" 6) Dans l'onglet "Scans", cliquer sur "Add". 7) Dans le champ "name" saisir le nom de votre scan puis dans "Scan Targets" saisir l'adresse IP du serveur Web et enfin cliquer sur "Launch Scan" 8) Dans la liste des scans, double-cliquer sur le scan lancer précédemment pour visualiser les résultats.(peut être lent/long) Exemple de fin de scan. 6/ Conclusion Nous avons à travers ce document, expliqué comment configurer son propre pare-feu, celui créé est basique, mais fwbuilder permet de créer des pare-feux plus complexe qui peuvent même être incorporés dans du matériel Cisco par exemple. Le logiciel Nessus permet de nous indiquer les faiblesses de notre pare-feu mais cela reste simple d'utilisation. Pour des tests plus complet, la distribution Linux Backtrack (backtrack-fr.net) peut être utiliser mais requiert plus de connaissances.